Druga VPN tačka: šta pokriva, a šta ne

Dvije tačke na papiru izgledaju kao rezerva. U praksi druga adresa pomaže samo kad klijenti mogu do nje doći i kad izbjegava kvar za koji se pripremate. Dva servera iza iste pristupne veze, istog računa ili iste ciljne mreže padaju zajedno. Korisno pitanje je koji jedini kvar druga tačka uklanja.

Uporedite šta obje tačke dijele

Navedite šta je zajedničko dvjema tačkama prije nego što prebrojite šta dupliraju. Lokacija hostovanja, račun kod provajdera, upstream tranzit, DNS hostovanje, izvor identiteta i privatni resurs iza tunela predstavljaju ili zajedničku ili nezavisnu zavisnost. Dvije virtuelne mašine u jednoj regiji dijele ispad provajdera. Dvije regije pod jednim računom i dalje dijele obračunski odnos i kontrolnu ravan koja ih stvara.

Ciljna mreža zaslužuje isti tretman. Zdrav rezervni gateway ne može vratiti NAS koji je van mreže i ne može doći do kancelarijske mreže kojoj je uzlazni link pao. Ako obje tačke završavaju u istoj privatnoj podmreži, druga dodaje put do odredišta koje je već jedina tačka otkaza.

Identitet je zavisnost koju ljudi zaboravljaju. Kloniranje certifikata i konfiguracije na drugi host stvara dva mjesta na kojima se isti akreditiv može kopirati i ne kaže ništa o tome kako opozivi stižu do oba.

Odlučite kako se klijent prebacuje

Druga tačka je korisna samo ako klijent zna za nju i može je izabrati bez poziva podršci. OpenVPN profili veze mogu nositi nekoliko remote linija s politikom izbora, a većina klijenata nudi alternativni profil u meniju. Koji god mehanizam bio, zapišite koji imaju vaši korisnici, jer profil koji ne mogu naći nije prebacivanje.

Pročitajte dokumentaciju klijenta o promjenama adrese tokom sesije. Neke implementacije zadržavaju prvobitnog partnera tokom cijelog života tunela i alternativama se obraćaju samo pri ponovnom povezivanju. Ta razlika odlučuje da li mrtva tačka pravi kratak prekid ili sesiju koja se nikad ne oporavi. Testirajte put ponovnog povezivanja umjesto da pretpostavljate da se dešava.

Promijenjena izlazna adresa kvari i stanje aplikacije. Prebacivanje je oporavak, a opisivanje toga kao neprekinutog kontinuiteta stvara očekivanje koje transport ne može ispuniti.

Testirajte jedan stvarni kvar

Odaberite jedan kontrolirani prekid i provedite ga od početka do kraja, umjesto da vjerujete projektnom dokumentu. Zaustavite primarnu tačku, pa potvrdite da ovlašteni klijent dolazi do predviđene aplikacije preko alternative, dok neovlašteni klijenti i dalje ne mogu. Zabilježite koliko je prebacivanje trajalo i šta je aplikacija vidjela.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

Prva komanda potvrđuje da se ime rezerve razrješava u nešto rutabilno prije nego što vam zatreba, i to je najjeftiniji test ovdje. Druga pokazuje koje bi sučelje kernel koristio za privatno odredište kad alternativa bude podignuta. Treća daje klijentski dnevnik s imenom partnera na koji se zaista povezao, a to je jedini dokaz da se prebacivanje dogodilo. Pazite i na ponašanje blokiranja tokom praznine, jer politika koja propušta saobraćaj pri prebacivanju gora je od kratkog prekida.

Zatim vratite original i potvrdite da li se klijent vraća. Vraćanje koje se dogodi slučajno ponašanje je koje niko nije planirao.

Zapišite šta druga adresa daje

Sažmite pokrivenost u jednom pasusu: koji kvar druga tačka uklanja, koje kvarove dijeli s prvom i na kojim pretpostavkama počiva prebacivanje. Navedite mehanizam na strani klijenta te privatne rute i ponašanje DNS-a koje mora postojati na oba mjesta. Javni internet izlaz nije zamjena za privatni gateway, a dokument koji ih tretira kao zamjenjive bit će povjerovan. Dodajte test oporavka koji ste izveli, s datumom i rezultatom.

Nezavisnost od jednog servera nije nezavisnost od zajedničkog računa ili ciljne mreže. Pasus koji to izgovara glasno je ono što sprječava da se druga adresa interno prodaje kao visoka dostupnost. On također govori sljedećem operateru šta prvo provjeriti kad par padne zajedno.